Logo de X Image SplitterX Image Splitter
Logo de X Image SplitterX Image Splitter

Desarrolladores

Connected Apps y OAuth

Permite que otras aplicaciones y asistentes de IA actúen en nombre del usuario mediante OAuth 2.1, y gestiona o desconecta accesos.

OAuth permite que una aplicación interactúe con la cuenta de X Image Splitter de un usuario sin conocer su contraseña. El usuario autoriza la aplicación una única vez, seleccionando qué acciones permite, y puede revocar el acceso en cualquier momento. Las aplicaciones autorizadas se denominan Connected Apps.

Utiliza OAuth cuando construyas una aplicación o integración para otros usuarios, o al conectar un agente de IA a tu propia cuenta mediante MCP. Para scripts o servidores propios, una API Key resulta más sencilla.

Qué ve el usuario

Cuando una aplicación solicita acceso, el usuario inicia sesión y visualiza una pantalla de consentimiento con:

  • El nombre de la aplicación y la URL de origen de su registro;
  • Cada Scope solicitado con su descripción en lenguaje claro, como «Iniciar generaciones que consumen créditos».

Aceptar conecta la aplicación. Rechazar devuelve al usuario a la aplicación sin otorgar ningún acceso.

Gestionar Connected Apps

Cuenta › Connected Apps lista cada aplicación autorizada, indicando su URL de origen, sus Scopes y la fecha de conexión.

Pulsa Desconectar para eliminar una aplicación. Su acceso termina de inmediato, invalidando todos los tokens previamente emitidos. Para volver a conectarla es necesario iniciar un nuevo flujo de autorización.

Flujo de autorización para desarrolladores

X Image Splitter actúa como servidor de autorización OAuth 2.1. El flujo implementa el flujo de código de autorización con PKCE:

PasoDetalle
Descubrimientohttps://ximagesplitter.com/.well-known/oauth-authorization-server/api/auth expone los endpoints. Cada API publica metadatos de recursos protegidos en https://ximagesplitter.com/.well-known/oauth-protected-resource/….
Identificar la appTu client_id es la URL HTTPS del documento de metadatos de tu cliente (Client ID Metadata Document). No requiere registro manual ni claves secretas de cliente.
AutorizarRedirige al usuario a https://ximagesplitter.com/api/auth/oauth2/authorize con response_type=code, tu redirect_uri, los scope necesarios, un code_challenge PKCE con code_challenge_method=S256 y el resource de destino.
Canjear el códigoEnvía una petición POST con el código y tu code_verifier a https://ximagesplitter.com/api/auth/oauth2/token.
Llamar a la APIEnvía el token de acceso obtenido en la cabecera Authorization: Bearer <token>.

El parámetro resource determina dónde es válido el token:

  • https://ximagesplitter.com/api/v1 para la API REST;
  • https://ximagesplitter.com/mcp para MCP.

Un token solo es aceptado por el recurso exacto para el que fue emitido.

Scopes

Solicita únicamente los Scopes necesarios para tu aplicación, utilizando los mismos identificadores que las API Keys (por ejemplo generations:read creations:read). La especificación completa está en API Keys › Scopes. Cada operación en la referencia de la API documenta su Scope requerido.

Errores de acceso

  • 401 Unauthorized (con cabecera WWW-Authenticate): el token falta, no es válido, ha expirado o el usuario ha desconectado tu aplicación. Inicia el flujo de autorización de nuevo.
  • 403 Forbidden (insufficient_scope): el token es válido pero carece del Scope requerido para la operación. Solicita al usuario que autorice el Scope adicional.

Pagos bajo control del usuario

Incluso con billing:write, una aplicación solo recibe una URL de confirmación o checkout. El usuario debe abrirla y completar el pago personalmente.